Grip op je grondslag – ‘wettelijke verplichting’ vs. ‘algemeen belang’

De vraag klinkt misschien abstract, maar is belangrijk voor degenen wiens gegevens verwerkt worden. Afhankelijk van de grondslag – zo zul je later lezen – hebben zij bepaalde rechten namelijk wel of niet.

De Algemene Verordening Gegevensbescherming (AVG) vertelt ons dat je je voor iedere verwerking van persoonsgegevens moet kunnen beroepen op een geldige rechtvaardigingsgrond: de grondslag.^[1] De AVG noemt er limitatief zes ^[2], waarvan er hier twee centraal staan: de sub c-grondslag (‘voldoen aan een wettelijke verplichting’) en de sub e-grondslag (‘taak van algemeen belang / openbaar gezag aan de verwerkingsverantwoordelijke opgedragen’).

Veel van onze opdrachtgevers zijn actief in de publieke sector, en vervullen veelal taken van algemeen belang. Maar is dat genoeg om een geldig beroep op die grondslag te doen? En wanneer dien je in plaats daarvan een beroep te doen op sub c-grondslag? In deze blog lees je het antwoord op deze vragen.

Een overzicht van (de relevante delen van) artikel 6 AVG

De relevante tekst uit de AVG luidt als volgt:
Artikel 6 – Rechtmatigheid van de verwerking

De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

(…)

c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;

(…)

e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;

(…)

Op het eerste gezicht biedt de wettekst niet veel uitsluitsel; bestaan de meeste wettelijke verplichtingen immers niet in het algemeen belang? 

Ook verder lezen leidt eerder tot overeenkomsten dan tot verschillen: verderop in artikel 6 AVG is te vinden dat verwerkingen op basis van zowel de sub c-grondslag als de sub e-grondslag vastgesteld moeten zijn bij EU- of nationaal recht dat moet beantwoorden aan een doelstelling van algemeen belang.^[3] En voor beide grondslagen geldt dat niet verplicht is dat voor elke individuele verwerking specifieke wetgeving vereist is, en dat een enkel wetsartikel dus prima de grondslag kan zijn voor meerdere verwerkingen.^[4] De grens tussen de twee grondslagen is er vooralsnog niet veel duidelijker op geworden – tijd voor nader onderzoek!

Wat houdt de grondslag ‘wettelijke verplichting’ (art. 6 lid 1 sub c AVG) in?

De sub e-grondslag is van toepassing als het noodzakelijk is dat de organisatie (in AVG-termen: “de verwerkingsverantwoordelijke”) persoonsgegevens verwerkt in het kader van haar publieke taak of bevoegdheid.

Zojuist las je dat sub c- en sub e-verwerkingen vastgesteld moeten zijn bij EU- of nationaal recht. Er moet bij sub e dus sprake zijn van een rechtsregel die een verwerkingsverantwoordelijke een taak van algemeen belang opdraagt of deze een bepaalde mate van openbaar gezag toekent. Deze rechtsregel hoeft niet per se uit een wet in formele zin voort te vloeien, maar kan ook voortvloeien uit andere vormen van recht, waaronder vaste jurisprudentie.^[5]

Is de verwerkingsverantwoordelijke een overheidsorganisatie, en kan deze zich er niet op beroepen dat de verwerking noodzakelijk is in het kader van de haar opgedragen taak van algemeen belang of de uitoefening van het haar toegekende openbaar gezag, dan kan deze in het kader van uitoefening van haar overheidstaken niet terugvallen op grondslag “gerechtvaardigd belang”.^[6] Het is immers aan de wetgever om de rechtsgrond voor persoonsgegevensverwerking door overheidsorganisaties te creëren het doel van de verwerking te bepalen.^[7]

Let op: de (semi)overheidsorganisatie mag dan wel verplicht zijn om haar taak van algemeen belang uit te voeren of haar openbaar gezag uit te oefenen, maar dat wil niet zeggen dat er sprake is van een ‘wettelijke verplichting’ in de zin van de sub c-grond. Hierover later meer!

Voorbeelden van sub e-verwerkingen zijn de verwerkingen voor statistische doeleinden die het Centraal Bureau voor de Statistiek (CBS) uitvoert in het kader van de Wet op het Centraal bureau voor de statistiek (Wet CBS). Al deze verwerkingen vinden plaats in het kader van de taak van algemeen belang van het CBS, te weten “het van overheidswege verrichten van statistisch onderzoek ten behoeve van praktijk, beleid en wetenschap en het openbaar maken van de op grond van zodanig onderzoek samengestelde statistieken”.^[8]

Ook privaatrechtelijke rechtspersonen kunnen zich in voorkomende gevallen op de sub e-grondslag beroepen,^[9] zolang zij het wetsartikel maar kunnen aanwijzen waarin zij hun taak van algemeen belang of openbaar gezag toebedeeld krijgen. Denk hierbij aan een instantie als Nidos, de stichting die verantwoordelijk is voor de (gezins)voogdij, opvang en begeleiding van jonge vluchtelingen die zonder hun ouders in Nederland verblijven.^[10]

NB: bij verwerkingen op basis van de sub e-grondslag hebben betrokkenen het recht van bezwaar van art. 21 AVG. Dit betekent dat zij het als zij vinden dat deze hun specifieke situatie negatief beïnvloedt. Dit recht is niet absoluut; de recht hebben om bezwaar te maken tegen de verwerking in kwestie verwerkingsverantwoordelijke hoeft de verwerking niet te staken als deze zwaarder wegende belangen aandraagt.^[11] Let op: de betrokkene moet tijdens het eerste contactmoment met de verwerkingsverantwoordelijke waarbij diens persoonsgegevens worden verzameld in het kader van de taak van algemeen belang worden geïnformeerd over het bestaan van dit recht.^[12]

Wat houdt de grondslag ‘algemeen belang / openbaar gezag’ (art. 6 lid 1 sub e AVG) in?

In tegenstelling tot de sub e-grondslag,kan de verwerkingsverantwoordelijke pas op deze grondslag een beroep doen als een verwerking van persoonsgegevens noodzakelijk is om te voldoen aan een bepaalde wettelijke verplichting.^[13] Met andere woorden: de verwerkingsverantwoordelijke kiest er niet voor om bepaalde persoonsgegevens te verwerken, maar moet dit doen op basis van een concrete rechtsregel. 

Voor een beroep op de sub c-grondslag is het volgens de Nederlandse wetgever echter niet vereist dat de wet expliciet een verplichting oplegt om bepaalde persoonsgegevens te verwerken. De drempel ligt lager: de wettelijke verplichting dient zodanig te zijn dat het voor de verwerkingsverantwoordelijke redelijkerwijs niet goed mogelijk is om te voldoen aan de wettelijke verplichting zonder persoonsgegevens te verwerken.^[14]

In tegenstelling tot sub e-verwerkingen hebben individuen bij sub c-verwerkingen weinig ruimte om deze te weigeren. Omdat de verwerking wettelijk verplicht is, biedt de AVG je als betrokkene niet het recht om in bezwaar te gaan (zoals beschreven in art. 21 AVG).

Een voorbeeld van een verwerking op basis van deze grondslag is het ter beschikking stellen van persoonsgegevens in het kader van openbaarmaking van overheidsinformatie op grond van de Wet open overheid (Woo) en diens rechtsvoorganger, de Wet openbaarheid van bestuur (Wob), aldus de nationale wetgever. Deze beredeneerde in de Memorie van toelichting van de Wijzigingswet Woo:

“In het geval de eerbiediging van de persoonlijke levenssfeer niet in de weg staat aan de informatieverstrekking, is die verstrekking een verwerking van persoonsgegevens die op grond van artikel 6, eerste lid, onderdeel c, van de AVG is toegestaan. Het betreft een verwerking die noodzakelijk is om te voldoen aan de Woo en de verplichtingen voor het bestuursorgaan die daaruit voortvloeien.”^[15]

Opvallend is dat je blijkbaar ook de andere kant op kunt beredeneren. Vorig jaar oordeelde het Hof van Justitie van de Europese Unie over de Tsjechische evenknie van de Woo dat de verwerkingen in dat kader zowel op basis van de c-grondslag als de e-grondslag zouden kunnen plaatsvinden. Sub e was een mogelijkheid omdat het delen van de persoonsgegevens plaatsvond in het kader van een taak van algemeen belang – toegang tot overheidsinformatie – sub c was een mogelijkheid omdat de wet overheidsinstanties verplichtte om bepaalde informatie op verzoek te delen.^[16] Blijkbaar bestaan er dus verwerkingen die zowel sub c als sub e als grondslag kunnen hebben; het is dan belangrijk dat je je keuze voor een bepaalde grondslag duidelijk verantwoordt.

Hoe maak je onderscheid tussen de sub c-grondslag en de sub e-grondslag?

Samenvattend:

• Bestaat er een rechtsregel die de verwerkingsverantwoordelijke belast met een taak van algemeen belang of met openbaar gezag, dan vinden de verwerkingen in dat kader hun grondslag in art. 6 ild 1 sub e AVG. Het enkele feit dat een overheidsorganisatie een wettelijk verplichte taak uitvoert, maakt de verwerking nog geen sub c-verwerking.
• Rust op de verwerkingsverantwoordelijke daarentegen een concrete wettelijke verplichting waaraan deze redelijkerwijs niet goed kan voldoen zonder persoonsgegevens te verwerken, dan is art. 6 lid 1 sub c AVG de aangewezen verwerkingsgrondslag.
• Soms zijn er bij het kiezen voor de juiste grondslag meerdere goede antwoorden mogelijk, zolang je je keuze voor een bepaalde grondslag maar afdoende onderbouwt.

Tot slot: het onderscheid tussen de sub c-grondslag en de sub e-grondslag is niet alleen iets voor collegezalen, blogs en LinkedIn-discussies. De gekozen grondslag heeft rechtstreeks invloed op de rechtspositie van de betrokkene: bij sub e-verwerkingen heeft deze het recht van bezwaar van art. 21 AVG, bij sub c niet. Juist daarom verdient dit onderscheid zorgvuldigheid.

Voetnoten:

^[1] Art. 5 lid 1 onder a jo. 5 lid 2 jo. 6 lid 1 aanhef AVG.
^[2]Art. 6 lid 1 sub a-f AVG.
^[3] Art. 6 lid 3 AVG.
^[4] Overweging 45 AVG.
^[5] HvJEU 12 september 2024, gevoegde zaken C-17/22 en C-18/22, ECLI:EU:C:2024:738, r.o. 68-73.
^[6] Art. 6 lid 1 AVG, laatste volzin.
^[7] Overweging 45 en 47 AVG.
^[8] Art. 3 lid 1 Wet CBS. Art. 37 lid 1 Wet CBS stelt dat de door de directeur-generaal in het kader van de uitoefening van de taken ter uitvoering van deze wet ontvangen gegevens uitsluitend voor statistische doeleinden worden gebruikt.
^[9] Overweging 45 AVG.
^[10] Art. 1:256 lid 1 jo. 1:302 lid 2 BW jo. art. 1 Besluit aanvaarding rechtspersoon Burgerlijk Wetboek Boek 1.
^[11] Art. 21 lid 1 AVG.
^[12] Art. 21 lid 4 AVG.
^[13] De Autoriteit Persoonsgegevens leest ‘wettelijke verplichting’ als ‘iedere verplichting tot een verwerking van persoonsgegevens die krachtens een algemeen verbindend voorschrift wordt opgelegd’. Brief van 30 augustus 2017 met kenmerk z2017-05375, p. 2.
^[14] Kamerstukken II 2017/18, 34851, nr. 3, p. 35.
^[15] Kamerstukken II 2018/19, 35112, nr. 3 HERDRUK, p. 21. Deze beredenering geldt echter niet onverkort sinds het HvJEU-arrest Digi (HvJEU 20 oktober 2022, C-77/21, ECLI:EU:C:2022:805 (Digi)), waarin het Hof oordeelde dat iedere verwerking die volgt op de aanvankelijke verwerking – het aanvankelijke verzamelen – van de persoonsgegevens in kwestie een ‘verdere verwerking’ van die gegevens inhoudt (Digi, r.o. 31). Verdere verwerkingen dien je te toetsen aan art. 5 lid 1 sub b jo. 6 lid 1 sub a jo. lid 4 AVG (zie Digi, r.o. 32-37).
^[16] HvJEU 3 april 2025, C-710/23, ECLI:EU:C:2025:231, r.o. 42.